In data 20 luglio 2026 la Commissione Europea ha pubblicato le "Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689 (AI Act)" (di seguito, le “Linee Guida”), un documento non vincolante emanato ai sensi dell'art. 96, comma 1, lett. d), dell'AI Act, con l'obiettivo di offrire indicazioni operative uniformi a providers, deployers e autorità di vigilanza sul mercato, in vista dell’applicazione -  dal 2 agosto 2026 - degli obblighi di trasparenza previsti dall'art. 50 AI Act.

Le Linee Guida si affiancano al Code of Practice on Transparency of AI-Generated Content, pubblicato il 10 giugno 2026 e valutato positivamente (“adeguato”) dalla Commissione e dall'AI Board e di cui si dirà nel proseguo. Restando un atto interpretativo non vincolante, la loro applicazione pratica assumerà comunque rilievo per la valutazione, da parte delle autorità di vigilanza, della diligenza degli operatori nell'adempimento degli obblighi di legge.

***    ***    ***    ***

Il quadro normativo: i 4 obblighi dell'art. 50 AI ACT

L'art. 50 AI Act individua quattro autonomi obblighi di trasparenza, applicabili a diverse tipologie di sistemi di IA (“sistemi IA”) e ai relativi output e riferibili a soggetti diversi (providers e/o deployers). Tali obblighi possono cumularsi in capo a uno stesso sistema di IA.

Le Linee Guida chiariscono che la conformità all'art. 50 AI Act non implica, di per sé, la liceità dell'uso del sistema o del suo output: un sistema soggetto agli obblighi di trasparenza può comunque risultare vietato ai sensi dell'art. 5 AI Act (es. riconoscimento delle emozioni sul luogo di lavoro) oppure qualificarsi come “ad alto rischio” con i relativi, ulteriori obblighi.

***    ***    ***    ***

Definizioni

Provider (fornitore): Persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che sviluppa un sistema di IA (o lo fa sviluppare) e lo immette sul mercato UE o lo mette in servizio con il proprio nome o marchio, a titolo oneroso o gratuito. I providers restano soggetti agli obblighi di trasparenza anche se stabiliti in paesi terzi, quando l’output dei loro sistemi è utilizzato nell’Unione europea.

Deployer (utilizzatore/utente professionale). Persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale (ossia assumendo la decisione su quali finalità impiegarli). Sono esclusi gli utilizzi meramente personali e non professionali.

Sistema di IA che interagisce direttamente con persone fisiche. Sistema capace di uno scambio bidirezionale di informazioni o azioni con carattere conversazionale o responsivo (es. chatbot, assistenti vocali, agenti IA), anche nell'ambito di architetture multi-agente.

Contenuto sintetico. Output audio, immagine, video o testo generato o manipolato da un sistema di IA, anche se combinato con contenuti di origine umana.

Deep fake. Contenuto immagine, audio o video generato o manipolato tramite IA che presenti una somiglianza apprezzabile con persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero a una persona.

Sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. Sistemi di IA volti, rispettivamente, a identificare o inferire emozioni/intenzioni di persone fisiche sulla base di dati biometrici, ovvero ad assegnare persone fisiche a categorie specifiche sulla base di dati biometrici.

***    ***    ***    ***

Gli obblighi per i Providers

I fornitori di sistemi di IA devono progettare e sviluppare i propri sistemi affinché siano rispettati i seguenti obblighi:

• Trasparenza dell'interazione (art. 50, par. 1): garantire che le persone fisiche siano informate del fatto che stanno interagendo con un sistema di IA, salvo che ciò risulti ovvio a una persona ragionevolmente informata, attenta ed avveduta, o il sistema sia autorizzato per legge a fini di prevenzione, indagine o perseguimento di reati (con esclusione dei sistemi pubblici di segnalazione di reati).
• Marcatura e rilevabilità dei contenuti sintetici (art. 50, par. 2): implementare soluzioni tecniche che rendano gli output audio, immagine, video o testo generati o manipolati marcati in formato leggibile da macchina e rilevabili come artificiali, tramite soluzioni efficaci, interoperabili, solide e affidabili (es. watermarking, metadati, impronte digitali, tecniche crittografiche).

***    ***    ***    ***

Gli obblighi per i deployers

Gli utilizzatori professionali di sistemi di IA devono:

• Informare sull'uso di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica (art. 50, par. 3): le persone esposte a tali sistemi devono essere informate del loro funzionamento, salva l'eccezione per finalità di prevenzione, indagine e repressione di reati autorizzate per legge.
• Etichettare i deep fake (art. 50, par. 4, primo comma): divulgare in modo chiaro e distinguibile che il contenuto immagine/audio/video è stato generato o manipolato artificialmente. Per le opere evidentemente artistiche, creative, satiriche, fittizie o analoghe, l'obbligo è attenuato: è sufficiente una divulgazione appropriata che non pregiudichi la fruizione dell'opera, fermo restando il rispetto dei diritti dei terzi (dati personali, proprietà intellettuale).
• Etichettare i testi di pubblico interesse generati o manipolati dall'IA (art. 50, par. 4, secondo comma): divulgare la natura artificiale del testo pubblicato per informare il pubblico su temi di interesse pubblico (politica, sanità, giustizia, sicurezza, ambiente, economia, ecc.), salvo che il testo sia stato oggetto di revisione umana o controllo editoriale sostanziale, sotto la responsabilità editoriale di una persona fisica o giuridica identificabile.

Regola trasversale (art. 50, par. 5): tutte le informazioni sopra indicate devono essere fornite in modo chiaro e distinguibile, al più tardi al momento della prima interazione o esposizione, in conformità ai requisiti di accessibilità applicabili.

L'obbligo di conformità ai "requisiti di accessibilità applicabili" non introduce nuovi standard, ma richiede che le informative sulla trasparenza IA (etichette, banner, avvisi vocali) rispettino gli obblighi di accessibilità già previsti, ove applicabili, dalla Direttiva (UE) 2016/2102 (siti web e app del settore pubblico) e dalla Direttiva (UE) 2019/882 - European Accessibility Act (prodotti e servizi). In pratica, occorre verificare se il servizio rientra nell'ambito di tali normative e, in caso positivo, assicurare che le informative siano percepibili e utilizzabili anche da persone con disabilità (es. compatibilità con tecnologie assistive, sottotitoli, testo alternativo), oltre che adeguate a un pubblico che può includere minori, anziani o persone con minore alfabetizzazione digitale.

***    ***    ***    ***

Le principali esclusioni ed eccezioni

• Attività personale non professionale: gli obblighi dei deployers non si applicano alle persone fisiche che utilizzano un sistema di IA per finalità puramente personali e non professionali (es. deep fake generati per un biglietto di auguri).
• Ricerca e sviluppo: sono esclusi i sistemi sviluppati e messi in servizio esclusivamente per finalità di ricerca scientifica, nonché le attività di ricerca, test e sviluppo antecedenti l'immissione sul mercato (con esclusione dei test in condizioni reali).
• Software open-source: i componenti open-source che non costituiscono di per sé un sistema di IA restano esclusi; i sistemi di IA open-source rientranti nell'art. 50 restano invece soggetti agli obblighi.
• Forze dell'ordine: uso autorizzato per legge ai fini di prevenzione, indagine, accertamento o perseguimento di reati, salvo per i sistemi pubblici dedicati alla segnalazione di rei. 

***    ***    ***    ***

Il raccordo con il Code of Practice

Le Linee Guida completano il Code of Practice on Transparency of AI-Generated Content (pubblicato il 10 giugno 2026 e composto da una Sezione 1 dedicata ai providers e una Sezione 2 dedicata ai deployers), valutato come “adeguato” dalla Commissione e dall'AI Board. I due strumenti operano su piani distinti e complementari.

Le Linee Guida chiariscono l'ambito soggettivo e oggettivo degli obblighi (definizioni, eccezioni, esempi pratici) e valgono per tutti e quattro i paragrafi dell'art. 50.

Il Code of Practice fornisce, in via volontaria, misure tecniche e organizzative operative per la marcatura, il rilevamento e l'etichettatura (art. 50, par. 2, 4 e 5).

I providers e i deployers che aderiscono al Code of Practice possono presumere la conformità (“safe harbour” pratico) alle relative disposizioni, riducendo l'onere probatorio nei confronti delle autorità di vigilanza.

Chi non aderisce al Code resta comunque tenuto al rispetto degli obblighi di legge, ma dovrà dimostrare con mezzi alternativi – e con un più elevato onere probatorio e maggiore probabilità di richieste istruttorie da parte delle autorità – l'adeguatezza delle misure adottate (ad es. tramite un'analisi comparativa, c.d. gap analysis, rispetto alle misure previste dal Code).

In sintesi, quindi: l'adesione al Code di Practice è facoltativa, ma gli obblighi di trasparenza dell'art. 50 AI Act restano vincolanti indipendentemente dalla scelta di aderirvi.

***    ***    ***    ***

Decorrenza e sanzioni

• Gli obblighi dell'art. 50 AI Act si applicano dal 2 agosto 2026 a tutti i sistemi di IA rientranti nel relativo ambito, indipendentemente dalla data della loro immissione sul mercato.
• Il c.d. “AI Omnibus” ha introdotto un regime transitorio limitato al solo obbligo di marcatura/rilevabilità (art. 50, par. 2) per i sistemi generativi già immessi sul mercato prima del 2 agosto 2026, con termine di adeguamento al 2 dicembre 2026 (l'obbligo di trasparenza per i sistemi interattivi resta comunque vigente dal 2 agosto 2026).
• Le violazioni sono sanzionabili fino a EUR 15.000.000 o, per le imprese, fino al 3% del fatturato mondiale annuo totale dell'esercizio precedente, se superiore (limiti ridotti per le PMI); le istituzioni UE sono soggette a sanzioni fino a EUR 750.000.

***    ***    ***    ***

Cosa può essere opportuno fare

1. Mappare i sistemi di IA utilizzati in azienda, distinguendo il ruolo di provider e/o deployer per ciascun sistema.
2. Verificare se i sistemi rientrano nell'ambito applicativo dell'art. 50 (interazione diretta, generazione/manipolazione di contenuti sintetici, riconoscimento emozioni/categorizzazione biometrica, deep fake, testi di pubblico interesse).
3. Predisporre o aggiornare le informative e le modalità di disclosure (banner, messaggi vocali, etichette, icone) in conformità ai requisiti di chiarezza, distinguibilità e accessibilità.
4. Valutare l'adesione al Code of Practice quale strumento di riduzione del rischio regolatorio e dell'onere probatorio.
5. Rivedere le clausole contrattuali con fornitori terzi di sistemi di IA e con i soggetti della filiera di distribuzione dei contenuti (piattaforme, editori, agenzie), per allineare le responsabilità rispetto agli obblighi di marcatura e etichettatura.
6. Predisporre entro il 2 agosto 2026 (e, per la sola marcatura dei sistemi generativi preesistenti, entro il 2 dicembre 2026) un piano di compliance documentato, utile anche in sede di eventuale accertamento da parte delle autorità di vigilanza del mercato.

Contatti

Ulteriori informazioni e chiarimenti possono essere richiesti al Settore Fisco e Diritto d'Impresa, tel. 0258370.267/308 e-mail: fisc@assolombarda.it, sede di Pavia, tel. 0382-37521, e-mail pavia@assolombarda.it